El phishing cripto no hackea necesariamente tu wallet: te convence para abrir la puerta
El phishing forma parte de un problema más amplio de estafas en criptomonedas, pero tiene una característica bastante reconocible: alguien suplanta una identidad o crea un contexto falso para conseguir una acción por tu parte.
En sentido estricto, INCIBE utiliza phishing para la suplantación realizada mediante correo electrónico; cuando llega mediante SMS suele hablarse de smishing y, por teléfono, de vishing. En el ecosistema cripto se utiliza con frecuencia “phishing” en sentido más amplio para englobar webs clonadas, falsos soportes en Telegram o Discord, anuncios fraudulentos, campañas de correo y páginas que intentan conseguir una firma maliciosa.
Lo verdaderamente útil es identificar qué busca conseguir el atacante, porque de ello depende tanto el daño posible como lo que debes hacer después.
| Lo que consigue el atacante | Qué puede ocurrir | Qué cambia para ti |
|---|---|---|
| Contraseña de un exchange | Acceso a la cuenta, datos personales o intentos de retirada | La cuenta puede asegurarse cambiando credenciales, cerrando sesiones y reforzando la autenticación |
| Frase de recuperación o seed phrase | Control sobre las claves y cuentas derivadas de esa frase | Debes abandonar esa seed y mover los activos a una wallet creada con una frase nueva |
| Clave privada | Control sobre la cuenta correspondiente | Debes trasladar los fondos de esa cuenta a claves nuevas |
| Aprobación de tokens | Un contrato o dirección puede gastar los activos incluidos en el permiso | Hay que revocar la aprobación y comprobar el alcance del permiso |
| Firma o transacción maliciosa | Puede autorizar una transferencia, un permiso u otra acción que no pretendías realizar | La respuesta depende exactamente de lo firmado; algunas acciones ya ejecutadas no pueden revertirse |
| Código 2FA o sesión de acceso | Puede facilitar la toma de una cuenta custodial | Debes cortar sesiones, renovar credenciales y contactar con el proveedor real |
Esta distinción también explica por qué un exchange y una wallet autocustodiada no tienen el mismo modelo de riesgo. En un servicio custodial, el proveedor puede bloquear una cuenta o intervenir en determinados procesos. Con una wallet donde tú controlas las claves, gran parte de esa responsabilidad recae directamente sobre ti.
Las formas de phishing en criptomonedas que conviene reconocer
Webs falsas que imitan exchanges, wallets y protocolos
Es el phishing clásico adaptado a cripto. El atacante crea una página casi idéntica a la de un exchange de criptomonedas, una wallet o una aplicación DeFi. Puede llegar hasta ti mediante un correo, un mensaje privado, una publicación en redes sociales o incluso un anuncio en un buscador.
El dominio puede cambiar una sola letra, añadir un guion o utilizar un subdominio pensado para que leas rápidamente el nombre que esperas ver. Que la web tenga HTTPS y muestre un candado no demuestra que sea legítima: únicamente indica que la conexión con ese dominio está cifrada.
El daño tampoco es siempre el mismo. Una copia de un exchange puede intentar robar tu usuario y contraseña; una falsa página de recuperación de una wallet buscará tu seed phrase; un clon de una aplicación DeFi puede esperar a que conectes la wallet y después presentarte una autorización maliciosa.
Soporte técnico falso y robo de la seed phrase
Publicas en X, Telegram o Discord que tienes un problema con una wallet y, pocos minutos después, aparece un supuesto administrador dispuesto a ayudarte. El perfil lleva el logo correcto, un nombre casi idéntico y una explicación aparentemente técnica. Después llega el paso que realmente le interesa: “sincronizar”, “validar”, “rectificar” o “recuperar” tu wallet mediante una web donde debes escribir las palabras de recuperación.
Una seed phrase no es una contraseña que el soporte pueda restablecer. Es información a partir de la cual una wallet puede derivar las claves que permiten controlar tus activos. Ningún agente de soporte necesita conocerla para solucionar un problema. Ethereum.org también advierte expresamente de que no debes compartir la frase de recuperación ni las claves privadas con supuestos moderadores o servicios de soporte.
La excusa concreta es secundaria. “Verificar tu wallet”, “actualizar la blockchain”, “desbloquear fondos” o “migrar tus tokens” pueden sonar muy distintas, pero si el proceso termina pidiéndote la seed, la respuesta debe ser la misma: cerrar la conversación.
Wallet drainers y aprobaciones maliciosas
Aquí el engaño es más interesante porque el atacante no necesita tu frase de recuperación. Puede llevarte a una aplicación falsa que te pide una aprobación aparentemente normal para reclamar un airdrop, hacer un swap, acuñar un NFT o acceder a una promoción.
En redes compatibles con contratos inteligentes, algunas aplicaciones necesitan permisos para mover determinados tokens en tu nombre. Es una función legítima y habitual en DeFi. El problema aparece cuando una web fraudulenta consigue que apruebes como spender una dirección o contrato controlado por el atacante, especialmente si el permiso cubre una cantidad muy elevada o ilimitada.
Esto explica una situación que desconcierta a muchas víctimas: la seed nunca salió de su poder y, aun así, determinados tokens desaparecieron. La clave privada no tuvo por qué ser robada; el usuario pudo haber autorizado previamente al contrato equivocado para mover esos activos.
Firmas que parecen inocentes
“Firmar” tampoco significa siempre lo mismo. Una firma puede servir simplemente para demostrar que controlas una dirección e iniciar sesión en una aplicación, pero ciertos estándares permiten utilizar firmas para conceder autorizaciones sobre tokens o ejecutar otras acciones.
Por eso la regla “una firma sin gas es segura” es falsa. Que una solicitud no requiera pagar comisión de red no significa que carezca de consecuencias. Si la wallet te muestra datos que no entiendes, un spender desconocido, una cantidad que no esperabas o una petición diferente de la acción que estabas intentando realizar, no deberías confirmar por inercia.
La dificultad para entender lo que se firma es un problema reconocido dentro del propio ecosistema. En mayo de 2026, un grupo de trabajo de Ethereum impulsó un estándar de Clear Signing para que las wallets puedan presentar las consecuencias de una operación de una forma más comprensible antes de autorizarla.
Airdrops, mints y recompensas que solo existen para conseguir una firma
El cebo no tiene por qué ser una amenaza. A veces funciona mejor una recompensa: “eres elegible para 2.000 tokens”, “últimas horas para reclamar el airdrop” o “mint gratuito para holders”.
La página puede comprobar que tu dirección contiene activos e incluso adaptar el engaño a tu wallet. La parte peligrosa llega cuando el supuesto claim solicita una aprobación o firma que no coincide con lo que esperabas. La sensación de oportunidad limitada busca precisamente que confirmes antes de revisar.
Aquí encajan muchos de los errores habituales de quien empieza con criptomonedas: actuar por urgencia, utilizar enlaces que llegan de terceros y confirmar operaciones sin tener claro qué permiso se está concediendo.
Mensajes y llamadas muy personalizados
Un correo que conoce tu nombre, el exchange que utilizas o parte de tus datos personales no tiene por qué ser auténtico. Esa información puede proceder de filtraciones de terceros, bases de datos comerciales, redes sociales o incidentes anteriores.
El phishing dirigido o spear phishing utiliza esa información para resultar más convincente. En cripto puede combinar correo, llamada y mensajería: primero te alertan de una retirada ficticia, después un supuesto agente te llama y finalmente te guía hacia una web o te pide que traslades los fondos a una “wallet segura”.
La sofisticación del contexto no cambia la regla básica. Si recibes una comunicación inesperada, no verifiques su autenticidad utilizando el mismo número, enlace o contacto que aparece en ella. Cierra ese canal y accede al servicio por una vía que ya supieras que era legítima.
Conectar una wallet no es lo mismo que autorizar a alguien a gastar tus tokens
Esta diferencia merece una sección propia porque evita tanto el pánico innecesario como una falsa sensación de seguridad. Conectar una wallet a una dApp suele permitir que esta conozca tu dirección pública, consulte información asociada y te presente solicitudes de firma o transacciones. La mera conexión no equivale por sí sola a entregar la seed ni a conceder automáticamente un permiso para vaciar todos tus fondos.
Las aprobaciones o allowances son otra cosa. MetaMask distingue expresamente entre desconectar una wallet de una aplicación y revocar una aprobación: desconectar la dApp no elimina necesariamente un permiso de gasto que hayas autorizado previamente. Para cancelar ese permiso es necesario revocar la aprobación correspondiente en la blockchain.
Esto es especialmente relevante si utilizas exchanges descentralizados o DEX. Las aprobaciones forman parte del funcionamiento habitual de muchos protocolos legítimos; el objetivo no es evitar cualquier permiso, sino entender qué activo, qué cantidad y qué dirección o contrato estás autorizando.
Cómo detectar un phishing antes de que sea demasiado tarde
No existe una señal visual que identifique el 100 % de los ataques. Las faltas de ortografía siguen apareciendo, pero confiar en que los estafadores escriben mal es una defensa pobre: una web fraudulenta puede copiar perfectamente la original y un mensaje puede estar impecablemente redactado.
Antes de introducir una contraseña, conectar una wallet o confirmar una firma, este filtro resulta mucho más útil:
- Abandona el enlace recibido y entra por tu cuenta. Utiliza un marcador que ya hubieras guardado, la aplicación oficial o escribe la dirección que conoces en lugar de continuar desde el correo, SMS, anuncio o mensaje privado.
- Comprueba el dominio completo. No te fijes solo en el logo, el diseño, el nombre que muestra Google o el texto visible de un enlace; revisa qué dominio estás visitando realmente.
- Rechaza cualquier petición de seed phrase o clave privada. Un exchange, administrador, moderador, protocolo o servicio de soporte legítimo no necesita esos secretos para ayudarte.
- Lee lo que solicita la wallet. Comprueba red, activo, cantidad, dirección destinataria, contrato y permiso cuando la interfaz los muestre; si la petición no coincide con lo que estabas intentando hacer, cancela.
- No firmes datos que no puedas interpretar solo porque la web parezca conocida. Una interfaz legítima puede ser comprometida y una web falsa puede reproducir el aspecto de la auténtica.
- Verifica por un segundo canal independiente. Si recibes un aviso sobre tu cuenta, abre tú mismo la plataforma y consulta allí las notificaciones o contacta con el soporte desde su página oficial.
- Utiliza un gestor de contraseñas. Además de permitir contraseñas únicas, puede darte una pista útil porque normalmente no rellenará automáticamente tus credenciales en un dominio diferente del que guardaste.
- Desconfía de la urgencia. Bloqueos inminentes, airdrops a punto de caducar y supuestos robos que requieren actuar “ahora mismo” están diseñados para eliminar precisamente el tiempo que necesitas para comprobar lo que haces.
La idea común a todas estas defensas es sencilla: la decisión irreversible nunca debería tomarse dentro del mismo contexto que creó la urgencia.
He caído en un phishing de criptomonedas: qué hago ahora
No todas las víctimas deben hacer exactamente lo mismo. Si solamente abriste un correo no necesitas abandonar automáticamente todas tus wallets; si has entregado una seed phrase, cambiar una contraseña no arregla nada. Antes de actuar, identifica qué información o autorización pudo obtener el atacante.
| Qué ha ocurrido | Qué debes hacer primero |
|---|---|
| Solo abriste un mensaje o una web | Cierra la página. Si no introdujiste datos, descargaste archivos, instalaste software ni firmaste nada, el riesgo es muy distinto al de una wallet comprometida |
| Introdujiste la contraseña de un exchange | Accede al servicio desde su canal oficial, cambia la contraseña, cierra otras sesiones, comprueba métodos 2FA, direcciones de retirada y claves API, y contacta con soporte si observas actividad sospechosa |
| Entregaste un código 2FA | Considera comprometida la sesión o cuenta asociada y aplica inmediatamente las medidas anteriores |
| Revelaste la seed phrase | Genera una wallet nueva con una seed completamente distinta desde un entorno fiable y traslada allí los activos restantes |
| Revelaste una clave privada | Deja de utilizar la cuenta controlada por esa clave y mueve los activos a una cuenta con claves nuevas |
| Firmaste una aprobación sospechosa | Comprueba y revoca los permisos concedidos en la red correspondiente; desconectar la dApp no basta |
| Firmaste una operación cuyo efecto desconoces | Revisa la transacción y los permisos resultantes en el explorador de bloques y protege los activos restantes si existe riesgo |
| Instalaste software o diste acceso remoto al dispositivo | Considera comprometido el equipo; deja de utilizarlo para operaciones sensibles hasta haberlo limpiado o reinstalado y gestiona tus activos desde un dispositivo fiable |
| Ya enviaste criptomonedas al atacante | Guarda las pruebas, identifica el hash y la dirección de destino, avisa a las plataformas implicadas y denuncia cuanto antes |
Ethereum.org recomienda, ante una wallet potencialmente comprometida, proteger los activos restantes, revocar las aprobaciones maliciosas y cambiar las credenciales de las cuentas relacionadas. También recuerda algo incómodo pero fundamental: una transacción confirmada en una blockchain como Ethereum no puede ser revertida por una autoridad central.
Si has compartido la seed phrase, revocar permisos no es suficiente
Este es uno de los errores más peligrosos después de un phishing. Revocar una aprobación sirve cuando el atacante dispone de un permiso concedido a determinado contrato o dirección. No soluciona una seed phrase comprometida.
Si otra persona conoce tu seed, puede reconstruir las claves derivadas de ella. Cambiar la contraseña local de la aplicación, borrar la extensión del navegador o importar esas mismas palabras en un dispositivo nuevo no crea claves nuevas. Lo que necesitas es una nueva seed generada de forma segura y trasladar los activos que todavía controles.
Tampoco vuelvas a utilizar la wallet antigua para recibir fondos. Que el atacante todavía no haya movido un activo no demuestra que haya perdido el acceso.
Si has firmado una aprobación, desconectar la web tampoco basta
Cerrar la pestaña y pulsar “Disconnect” puede terminar la sesión entre la aplicación y la wallet, pero una aprobación registrada en la blockchain puede seguir existiendo. Debes consultar los permisos de esa dirección en la red afectada y revocar los sospechosos mediante las herramientas de la propia wallet, un explorador de bloques reconocido u otra herramienta fiable.
Ten cuidado con la paradoja del momento: después de descubrir que has caído en un phishing, buscar rápidamente “revocar permisos wallet” y entrar en cualquier resultado patrocinado puede conducirte a otro sitio de phishing. Ethereum.org mantiene una guía con herramientas conocidas para consultar y revocar aprobaciones; llega a ellas desde fuentes verificadas, no desde enlaces que te envíe un desconocido.
Si no sabes exactamente qué has firmado o crees que el riesgo puede ir más allá de una aprobación concreta, trasladar los activos restantes a una wallet nueva puede ser una medida prudente. Hazlo solo desde un dispositivo que consideres seguro.
Si han robado las credenciales de un exchange
Aquí el escenario es diferente porque existe una empresa que controla el sistema de cuentas. Entra desde la aplicación o dominio que ya conocías, cambia inmediatamente una contraseña reutilizada —también en cualquier otro servicio donde la usaras—, revisa sesiones abiertas, métodos de autenticación, direcciones de retirada guardadas y claves API.
Activa un segundo factor de autenticación si todavía no lo utilizas. Cuando el proveedor lo permita, una passkey o llave física diseñada para resistir phishing puede ofrecer más protección frente a páginas falsas que un código que tú mismo puedes acabar introduciendo en una web fraudulenta. Un autenticador TOTP también añade una barrera útil; el SMS queda más expuesto a problemas como el secuestro del número mediante SIM swapping.
Si observas retiradas o cambios que no reconoces, contacta inmediatamente con el soporte desde el canal oficial. Aquí sí importa la rapidez: una plataforma puede tener posibilidades operativas que no existen una vez que los fondos continúan moviéndose libremente por la blockchain.
Si los fondos ya han salido
Guarda el hash de la transacción, las direcciones implicadas, los correos, números de teléfono, nombres de usuario, dominios, capturas y cualquier conversación. No borres el material por vergüenza o por pensar que “ya no sirve”: puede ayudar a documentar lo ocurrido.
Si identificas que los activos han terminado en un exchange centralizado, comunícaselo cuanto antes aportando los datos de la transacción. No existe garantía de recuperación, pero ethereum.org señala que un exchange puede, en algunos casos, congelar cuentas marcadas por fraude.
Y cuidado con la segunda estafa. Después de publicar que has perdido criptomonedas suelen aparecer supuestos investigadores, hackers o empresas capaces de “recuperarlas” si pagas por adelantado. Nadie puede pulsar un botón y revertir una transferencia confirmada de una blockchain descentralizada. Desconfía especialmente de quien promete resultados garantizados o necesita tu seed para investigar el caso.
Cómo proteger tus criptomonedas sin convertir cada operación en una paranoia
La seguridad útil funciona por capas. No consiste en encontrar una herramienta que haga imposible el phishing, sino en conseguir que un único error tenga menos capacidad para convertirse en una pérdida total. Esa lógica forma parte de una buena gestión del riesgo en criptomonedas: limitar daños potenciales también importa cuando el riesgo no procede del precio.
Para cuentas de exchanges
Utiliza una contraseña larga y exclusiva para cada servicio y guárdala en un gestor de contraseñas. Activa el sistema de autenticación más resistente al phishing que ofrezca la plataforma y revisa periódicamente las sesiones abiertas, dispositivos autorizados y claves API.
Si el exchange dispone de lista blanca de direcciones de retirada, bloqueo temporal tras cambios de seguridad o mecanismos para verificar sus correos, valora utilizarlos. Ninguna función convierte una cuenta en invulnerable, pero varias barreras independientes dificultan que una contraseña robada termine inmediatamente en una retirada.
También puede tener sentido utilizar una dirección de correo específica para servicios financieros que no publiques en redes sociales. El objetivo no es hacerla secreta para siempre, sino reducir la exposición y reconocer mejor mensajes que llegan a cuentas donde nunca registraste el servicio que supuestamente te escribe.
Para wallets de autocustodia
La seed phrase debe permanecer fuera de correos, chats, notas en la nube, formularios web y conversaciones con soporte. Una copia física bien protegida evita muchos de los vectores digitales más obvios, aunque después tendrás que gestionar otros riesgos como pérdida, robo o deterioro.
Si interactúas frecuentemente con protocolos nuevos, mints o airdrops, separar funciones también ayuda. Una wallet destinada a almacenar activos de mayor valor no tiene por qué ser la misma con la que pruebas cada aplicación que encuentras. Una segunda wallet con una cantidad limitada reduce el daño máximo que puede provocar una aprobación equivocada, aunque no convierte una dApp maliciosa en segura.
Revisa además las aprobaciones que ya no necesites. Los permisos excesivamente amplios aportan comodidad, pero aumentan la superficie de riesgo si el contrato autorizado o el contexto en el que concediste el permiso acaba siendo problemático.
Para DeFi, NFTs y firmas frecuentes
Antes de confirmar, comprueba que la acción que muestra la wallet coincide con la que creías estar realizando en la página. Un “Claim” en la interfaz no significa nada si la solicitud de la wallet está autorizando a otra dirección a gastar todos tus tokens.
Cuando puedas elegir el límite de una aprobación, autorizar únicamente la cantidad necesaria reduce la exposición frente a conceder acceso ilimitado. No siempre será la opción más cómoda porque puede obligarte a aprobar de nuevo en operaciones futuras y pagar más gas, pero esa comodidad tiene un coste de seguridad que conviene conocer.
Una hardware wallet añade protección importante porque las claves privadas permanecen aisladas del ordenador o móvil, pero no funciona como un detector infalible de estafas. Si tú confirmas una operación maliciosa, el dispositivo puede firmarla perfectamente. Su valor aumenta cuando te permite verificar de forma independiente y comprensible qué dirección, importe o acción vas a autorizar.
Tener 2FA o una hardware wallet no te hace inmune al phishing
Esta idea merece insistencia porque buena parte de los riesgos de las criptomonedas aparecen precisamente cuando una medida de seguridad se interpreta como una garantía absoluta.
El 2FA protege principalmente el acceso a una cuenta. No protege una wallet autocustodiada cuya seed ya has entregado, ni impide que firmes desde ella una transacción maliciosa. Además, un código de un solo uso puede ser robado mediante phishing si el atacante consigue que lo escribas en tiempo real en su página falsa.
Una hardware wallet protege las claves privadas frente a determinados ataques al dispositivo conectado, pero tampoco puede decidir por ti si un contrato es legítimo. La protección depende en parte de que revises los datos que muestra antes de confirmar y de que entiendas, al menos a grandes rasgos, la acción que estás autorizando.
Dicho de otra manera: proteger las claves y proteger tus decisiones son dos problemas distintos. El phishing se especializa precisamente en el segundo.
No todo robo de criptomonedas es phishing
Meter cualquier pérdida de fondos dentro de “phishing” dificulta entender lo ocurrido y puede llevarte a tomar la medida equivocada.
| Situación | Qué es realmente |
|---|---|
| Copias una dirección falsa de tu historial porque se parece a la habitual | Address poisoning o envenenamiento de direcciones; manipula tu comportamiento, pero no necesita una web de phishing |
| Un malware sustituye en el portapapeles la dirección que acabas de copiar | Ataque mediante software malicioso |
| Un protocolo pierde fondos por una vulnerabilidad de su smart contract | Exploit técnico del protocolo |
| Una plataforma inventa beneficios para conseguir depósitos y desaparecer | Fraude de inversión; puede utilizar phishing como herramienta, pero no son conceptos equivalentes |
| Los primeros participantes se pagan con el dinero de los nuevos | Puede tratarse de un esquema Ponzi con criptomonedas |
| Un atacante suplanta tu exchange y roba tu contraseña | Phishing |
La frontera puede mezclarse. Un mismo ataque puede comenzar con un correo de phishing, instalar malware y terminar con una firma manipulada. Lo importante es no quedarse únicamente con la etiqueta: identifica qué control consiguió el atacante.
Dónde pedir ayuda y denunciar un phishing cripto en España
Si crees que has sido víctima, además de asegurar primero tus cuentas y activos, conserva todas las pruebas. INCIBE ofrece su Línea de Ayuda en Ciberseguridad a través del 017 y también dispone de canales para orientar a ciudadanos ante fraudes y otros incidentes de seguridad.
Si existe pérdida económica o un intento de fraude, también puedes denunciar ante las Fuerzas y Cuerpos de Seguridad del Estado. La CNMV recomienda comunicar los incidentes sospechosos de fraude y acudir a Policía, Guardia Civil o al juzgado correspondiente cuando proceda.
Cuando el engaño utilice el nombre de una empresa de inversión o proveedor de criptoactivos, no des por buena una entidad únicamente porque su web parezca profesional o muestre un número de registro. Comprueba la empresa real por separado y recuerda que un estafador puede copiar el nombre, logotipo y datos regulatorios de una compañía legítima.
La mejor defensa es introducir una pausa antes de una acción irreversible
Los ataques cambian de dominio, de logo y de historia, pero casi siempre necesitan que hagas algo: entregar una credencial, revelar un secreto, instalar software, transferir fondos o firmar una autorización.
Por eso una rutina sencilla funciona mejor que intentar reconocer visualmente cada estafa. Si el contacto fue inesperado, sal de ese canal. Si te piden una seed o una clave privada, no continúes. Si una wallet solicita una firma que no entiendes, cancela. Y si la operación puede mover una cantidad importante, verifica destinatario, contrato y acción por una segunda vía antes de confirmar.
En cripto, la autocustodia te permite controlar tus claves, pero también hace que algunos errores sean difíciles de corregir. La regla que más protege no es “no te fíes de nadie”; es bastante más concreta: no autorices una acción irreversible hasta que puedas explicar qué estás autorizando, a quién y para qué.
